一、案例背景說明
　　
　　OilRig為伊朗的駭客組織(又名APT34) ，2014年起就持續針對中東地區的網路進行威脅活動，其目標包含能源、金融、政府、化工、電信等產業。美國網路安全公司「FireEye」根據基礎設施分析的報告評估推測，該組織被指稱極可能是得到伊朗政府的支持。許多惡意工具也顯示與該組織有所關聯，包括ISMAgent、ISMDoor、ISMInjector 及本次要探討的TwoFace webshell。

二、案例研究說明

　　TwoFace webshell是利用兩個webshell進行攻擊，分別為TwoFace Loader以及TwoFace Payload，並且皆使用C語言所撰寫，如圖1所示。
 

圖1:使用C語言撰寫的webshell
（資料來源：Emanueledelucia）
 

　　TwoFace Loader的目的是將TwoFace Payload解密後，進行主要的惡意活動，甚至TwoFace Loader還具備隨機更換檔案名稱與變數的功能，這使得資安人員在制定文件檢測規則進行防禦時變得更加困難。進一步檢視TwoFace Loader，其檔案包含一組密鑰及TwoFace Payload，而駭客則利用HTTP request的方式傳送另一組密鑰進行解密，並藉由TwoFace Payload進行攻擊。下圖2即為研究人員所捕獲的TwoFace Loader樣本程式。
 

圖2: TwoFace Loader樣本
（資料來源：Emanueledelucia）
 

　　一旦駭客成功將TwoFace Loader放入伺服器中，便可開始使用TwoFace Payload進行惡意活動。駭客使用HTTP Cookie參數來控制TwoFace Payload，執行多種惡意命令控制受害伺服器，如下圖3所示。
 

圖3: TwoFace Payloader樣本
（資料來源：Emanueledelucia）

　　研究人員分析，TwoFace Payload是個功能強大且齊全的webshell，除了能執行多個惡意命令外還具備橫向感染的能力。經統整，TwoFace Payload具備以下六種惡意操作功能:

三、駭客攻擊流程與手法

　　下圖（圖4）為駭客攻擊流程與方式，攻擊步驟說明如下:

圖4: APT34駭客組織攻擊流程與方式
（資料來源：本中心分析整理）

四、Indicator of Compromise (IoC)資訊

　　本章節分享此惡意程式之入侵指標(Indicator of Compromise, IoC)檢測，包含關聯的SHA256入侵指標以利各通傳業者分析情資加強資安防護，詳見表1。
 

 

表1: OilRig駭客組織SHA256入侵指標
（資料來源：本中心分析整理）

五、整體建議與總結

　　駭客在入侵企業網站時，會透過各種攻擊方式植入webshell，進而獲得企業網站的控制權，常見攻擊方式有：利用網站上傳漏洞植入webshell、SQL Injection、RFI、XSS...等。因此定期修補伺服器漏洞，並確保網站伺服器與內網之間的帳號權限不會相互影響，皆為維護網路安全的重要課題。而TwoFace webshell因為使用雙層架構，在資安設備進行偵測與防禦時較難檢測到。並且這種webshell還具備橫向感染的能力，倘若駭客從伺服器轉向內網進行植入攻擊，後果將相當嚴重。

　　為避免遭到駭客組織的攻擊，通傳業者可採取以下保護措施，避免系統遭受潛在威脅之攻擊，例如：

參考資料：

https://www.emanueledelucia.net/a-dive-into-apt34-aka-oilrig-aka-cobalt-gypsy-twoface-webshell/